4. 故障注入在航天器研制中的工程价值

故障注入不是“给系统找麻烦”，而是把航天器在轨可能遭遇的异常，提前搬到地面可控环境里进行验证。它的工程价值，集中体现在四个方面：推动可靠性增长、验证容错机制、支撑FMEA/FTA确认，以及在轨异常预案的落地确认。理解这四重价值，才能理解为什么故障注入必须与常规功能测试、环境试验并列，成为航天器研制流程中的固定环节。

4.1 可靠性增长：把“潜在缺陷”变成“已消除缺陷”

可靠性增长的本质，是通过“暴露—分析—纠正—再验证”的闭环，让产品的失效率随时间递减。常规功能测试只能证明“正常工况下能工作”，而故障注入主动制造异常，把隐藏在接口时序、状态机边界、冗余切换逻辑中的缺陷逼出来。

例如某星务计算机的看门狗电路，常规测试只验证“喂狗正常时不死机”。故障注入则模拟CPU停止喂狗、喂狗周期抖动、看门狗复位后再次死锁等场景。若发现复位后软件未清除故障标志，导致反复复位，这就是一个典型的可靠性增长点：缺陷被暴露、定位、修复，再通过重复注入确认闭环。每一次这样的闭环，都对应可靠性模型中的一个失效模式被消除，MTBF（平均故障间隔时间）的评估才有真实依据。

4.2 容错机制验证：证明冗余真的“能顶上”

航天器普遍采用冗余设计：双机热备、三模冗余、纠错编码、多路供电等。但冗余设计存在不等于冗余有效。故障注入是验证容错机制是否真正生效的唯一手段。

以双机热备为例，需要注入的典型故障包括：主份机输出错误、主份机无响应、主备切换指令丢失、切换过程中总线冲突、备份机自身带故障等。验证的判据不是“切换成功”，而是切换时间是否满足任务要求、切换过程中是否丢失关键数据、备份机接管后是否进入正确工作状态。假设某平台要求切换时间不超过200ms，注入主份机断电故障后，实测切换耗时320ms，则说明容错机制未达标，需要优化切换逻辑或调整看门狗超时参数。

这类验证必须覆盖“故障发生在最不利时刻”的情况，例如在关键指令发送过程中、在姿态控制周期中间、在数据存储写入瞬间注入故障，才能暴露时序相关的容错缺陷。

4.3 FMEA/FTA验证：从“纸面分析”到“实物确认”

FMEA（故障模式及影响分析）和FTA（故障树分析）是航天器可靠性设计的核心工具，但它们本质上是纸面分析，依赖分析人员的经验和假设。故障注入为FMEA/FTA提供了实物验证手段。

FMEA中列出的每一个故障模式，都可以转化为一条故障注入用例。例如FMEA指出“陀螺输出漂移可能导致姿态控制异常”，对应的注入用例就是：向姿控计算机注入陀螺漂移数据，观察姿态控制是否触发重构、是否切换到备份陀螺、切换后姿态是否稳定。如果FMEA预测的“影响”与实际注入结果不一致，说明分析模型需要修正；如果FMEA未识别出某个实际发生的故障传播路径，则说明分析存在遗漏。

FTA的验证逻辑类似：故障树中每个底事件对应一个可注入的故障，通过注入底事件并观察顶事件是否发生，可以验证故障树的逻辑门是否正确、割集是否完整。这种“分析—注入—比对—修正”的循环，使FMEA/FTA从静态文档变成动态验证对象。

4.4 在轨异常预案确认：让预案“真的能用”

航天器在轨异常预案通常以“故障模式—判据—处置流程”的形式存在。预案是否有效，不能只在纸面上评审，必须通过故障注入进行确认。确认内容包括：故障判据是否能在预期时间内触发、处置流程是否可执行、处置后系统是否恢复到安全状态、预案中的人机接口是否清晰。

例如某预案规定“当蓄电池电压低于阈值时，自主进入安全模式”。故障注入时，模拟蓄电池电压缓慢下降和突降两种场景，观察：判据触发时间是否符合预期、安全模式入口条件是否满足、进入安全模式后负载是否按预期卸载、遥测参数是否准确反映状态。若发现电压突降时判据未触发，则预案需要增加变化率判据或调整采样周期。

4.5 故障注入与常规功能测试、环境试验的关系

三者不是替代关系，而是互补关系，共同构成航天器研制的验证体系。

常规功能测试回答“正常时能不能用”，环境试验回答“恶劣环境下能不能活”，故障注入回答“出故障时会不会失控”。三者覆盖了航天器从标称到异常、从地面到空间的完整验证空间。在实际研制流程中，故障注入通常安排在功能测试之后、环境试验之前或穿插进行：先确认系统在正常状态下工作正常，再注入故障验证容错，最后在环境试验中确认故障注入暴露的问题已修复且未引入新问题。

4.6 工程实践中的关键判断

在实际工程中，故障注入的价值能否兑现，取决于三个判断：第一，注入的故障是否真实——故障模式必须来自FMEA、在轨异常统计或接口分析，不能凭空编造；第二，注入的时机是否关键——应覆盖任务关键阶段，如发射入轨、姿态机动、载荷开机、数据回传等；第三，结果是否可判读——每次注入必须有明确的通过/失败判据，不能只记录“现象异常”而没有结论。

综上，故障注入在航天器研制中的工程价值，不是单一维度的“测试补充”，而是贯穿可靠性设计、容错验证、安全性分析和在轨运维准备的系统性手段。它与常规功能测试、环境试验共同构成航天器验证的完整闭环，缺一不可。